Beveiliging · 8 november 2026
OpenSSH brengt noodpatch uit voor kritieke kwetsbaarheid in Alpine Linux
OpenSSH heeft versie 10.6p2 uitgebracht om een kritieke kwetsbaarheid op te lossen die aanvallers in staat stelt om in te loggen op SSH-accounts zonder wachtwoord op bepaalde Alpine Linux servers.
De kwetsbaarheid ontstaat door de interactie tussen sshd en musl, een C-bibliotheek die door Alpine wordt gebruikt. Wanneer sshd wachtwoorden controleert zonder gebruik te maken van PAM, weigert de crypt-functie van musl wachtwoorden die langer zijn dan 256 bytes. In dergelijke gevallen geeft de functie een asterisk terug, wat exact overeenkomt met de waarde in het wachtwoordveld van accounts zonder wachtwoord, waardoor sshd de toegang verleent. Aanvallers kunnen dit misbruiken door een wachtwoord van 257 tot 1.024 bytes te verzenden.
Servers lopen risico wanneer aan vier specifieke voorwaarden wordt voldaan. Ten eerste moet het openssh-server pakket zijn gebouwd zonder PAM, of de optie UsePAM moet op nee staan in openssh-server-pam. Ten tweede moet PasswordAuthentication ingeschakeld zijn, wat de standaardinstelling is. Ten derde moet er een account zijn zonder wachtwoord. Ten vierde moet er minstens één ander account zijn met een wachtwoord hash van het type $5$ of $6$. Een aanvaller die netwerktoegang heeft en de naam van het doelaccount kent, kan de aanval met één enkele verbinding succesvol uitvoeren.
Systemen die glibc gebruiken, systemen die geen Linux zijn en systemen die wachtwoorden via PAM controleren, zijn niet getroffen. Dit geldt ook voor containers die geen sshd uitvoeren en cloud-afbeeldingen die via cloud-init zijn geconfigureerd waarbij PasswordAuthentication is uitgeschakeld. Er is echter een risico bij tiny-cloud afbeeldingen van versie 3.18.11 tot 3.24.3, waarbij gebruikers doas kunnen gebruiken zonder wachtwoord. Als een beheerder later een console-wachtwoord instelt, kan een aanvaller inloggen als alpine en direct escaleren naar root.
Onderzoekers van Wakefield, die de kwetsbaarheid rapporteerden, adviseren om ook andere systemen die musl gebruiken te controleren, zoals OpenWrt, Buildroot en Yocto. Er zijn momenteel geen meldingen van echte aanvallen en er is nog geen CVE-nummer toegewezen.
Alpine heeft herstelde pakketten uitgebracht voor alle versies terug tot 3.16, inclusief takken waarvan de ondersteuning is verlopen. De point releases 3.21.10, 3.22.8, 3.23.8 en 3.24.4 bevatten deze correctie. Beheerders moeten bijwerken met het commando apk upgrade -U -a en sshd herstarten via rc-service sshd restart, omdat een pakketupdate de actieve sshd niet herstart. Gebruikers die OpenSSH zelf bouwen, moeten overstappen naar OpenSSH 10.6p2. Als updaten niet mogelijk is, adviseert OpenSSH om wachtwoord-inloggen onmiddellijk uit te schakelen door PasswordAuthentication op nee te zetten, nadat is bevestigd dat inloggen met een SSH-sleutel werkt. Beheerders moeten de logbestanden in /var/log/messages controleren op Accepted password for regels voor accounts zonder wachtwoord. Als dit niet kan worden uitgesloten, moet het systeem als gecompromitteerd worden beschouwd.